搜索

[8490] 2014-12-11_雅虎安全团队：漏洞90天不修复，对外公开细节

文档创建者：s7ckTeam
浏览次数：35
最后更新：2025-01-17
2014-12-11_雅虎安全团队：漏洞90天不修复，对外公开细节 雅 虎 安 全 团 队 ： 漏 洞 9 0 天 不 修 复 ， 对 外 公 开 细 节 c i n d y   F r e e B u f   2 0 1 4 - 1 2 - 1 1 雅 虎 安 全 团 队 开 始 使 用 与 谷 歌 P r o j e c t   Z e r o 一 样 的 漏 洞 披 露 策 略 — — 在 将 漏 洞 信 息 通 知 受 影 响 厂 商 的 9 0 天 后 ， 对 外 界 公 开 漏 洞 细 节 。 F r e e B u f 科 普 ： 关 于 谷 歌 科 普 ： 关 于 谷 歌 P r o j e c t   Z e r o 谷 歌 P r o j e c t   Z e r o 团 队 主 要 由 谷 歌 内 部 顶 尖 安 全 工 程 师 组 成 ， 而 他 们 的 唯 一 使 命 就 是 发 现 、 跟 踪 和 修 补 全 球 性 的 软 件 安 全 漏 洞 ， 其 中 重 点 是 0 d a y 漏 洞 。 P r o j e c t   Z e r o 团 队 并 不 仅 限 于 在 谷 歌 自 有 的 产 品 中 寻 找 系 统 安 全 漏 洞 ， 因 为 他 们 也 会 在 任 何 软 件 产 品 上 寻 找 漏 洞 。 在 发 现 了 某 个 漏 洞 后 ， 该 团 队 会 对 其 进 行 曝 光 ， 并 通 过 这 种 方 式 来 鼓 励 相 关 公 司 与 谷 歌 联 手 对 付 黑 客 。 最 近 几 个 月 内 ， P r o j e c t   Z e r o t 的 研 究 者 们 从 微 软 、 苹 果 等 公 司 的 产 品 中 找 到 了 大 量 的 漏 洞 。 每 当 P r o j e c t   Z e r o 发 现 了 一 个 新 的 漏 洞 ， 他 们 会 通 知 受 影 响 的 厂 商 。 然 后 从 发 出 通 知 的 那 一 刻 起 开 始 计 时 ， 如 果 厂 商 在 9 0 天 以 内 还 没 有 对 这 一 漏 洞 打 上 补 丁 ， 那 么 P r o j e c t   Z e r o 就 会 对 外 公 布 漏 洞 细 节 。 雅 虎 安 全 团 队 雅 虎 安 全 团 队 雅 虎 公 司 于 几 个 月 前 成 立 了 高 级 安 全 小 组 ， 由 A l e x   S t a m o s 任 首 席 信 息 安 全 官 ， C h r i s   R o h l f 领 导 渗 透 测 试 小 组 。 R o h l f 负 责 的 渗 透 测 试 团 队 花 了 很 多 时 间 对 雅 虎 公 司 内 部 软 件 和 雅 虎 公 司 使 用 的 第 三 方 软 件 进 行 测 试 ， 一 旦 他 们 发 现 新 的 漏 洞 ， 他 们 便 会 紧 急 修 复 ， 然 后 通 知 可 能 受 漏 洞 影 响 的 社 区 及 U S - C E R T （ 美 国 电 脑 安 全 紧 急 回 应 小 组 ） 。 R o h l f 在 其 博 客 中 表 示 ： 高 水 平 的 攻 击 者 一 直 在 挖 掘 并 利 用 0 d a y 漏 洞 ， 没 有 任 何 一 个 产 品 逃 脱 得 了 。 为 了 保 证 我 们 系 统 的 安 全 ， 我 们 的 渗 透 测 试 小 组 一 直 在 对 我 们 的 系 统 进 行 安 全 测 试 ， 试 图 找 到 所 有 可 能 存 在 的 漏 洞 。 我 们 不 仅 能 检 测 到 雅 虎 公 司 自 己 编 写 的 软 件 上 是 否 存 在 漏 洞 ， 还 能 检 测 到 雅 虎 使 用 的 第 三 方 产 品 上 是 否 也 存 在 漏 洞 。 我 们 坚 信 参 与 安 全 生 态 圈 的 建 设 很 重 要 ， 因 为 这 样 可 以 使 更 少 的 人 受 到 漏 洞 攻 击 的 影 响 。 9 0 天 不 修 复 ， 漏 洞 细 节 公 布 天 不 修 复 ， 漏 洞 细 节 公 布 雅 虎 的 漏 洞 披 露 策 略 和 谷 歌 一 样 — — 9 0 天 不 修 复 ， 漏 洞 细 节 公 布 。 当 前 有 许 多 大 型 软 件 商 、 互 联 网 公 司 、 组 织 的 内 部 就 有 和 雅 虎 渗 透 测 试 团 队 相 类 似 的 团 队 ， 他 们 也 在 不 断 对 自 己 公 司 系 统 的 安 全 进 行 测 试 。 但 是 ， 不 是 所 有 的 厂 商 和 公 司 都 有 和 雅 虎 、 谷 歌 一 样 的 公 开 策 略 。 雅 虎 认 为 ， 三 个 月 是 漏 洞 披 露 的 最 佳 时 间 上 限 ， 因 为 这 样 漏 洞 可 以 在 最 快 的 时 间 内 被 打 上 补 丁 ， 同 时 三 个 月 的 时 间 也 足 够 厂 商 修 复 漏 洞 了 。 在 研 究 人 员 发 现 漏 洞 后 ， 时 间 就 变 成 了 核 心 问 题 ， 厂 商 的 修 复 要 与 时 间 赛 跑 。 同 时 ， 雅 虎 承 诺 将 公 布 他 们 在 三 个 月 内 发 现 的 漏 洞 信 息 。 之 所 以 给 出 的 这 么 短 的 时 间 限 制 ， 是 因 为 雅 虎 想 确 保 这 些 漏 洞 会 尽 快 的 被 打 上 补 丁 ， 但 是 基 于 一 些 特 殊 的 情 况 雅 虎 将 保 留 延 长 或 者 缩 短 披 露 时 间 的 权 利 。 [ 参 考 来 源 t h r e a t p o s t ， 转 载 须 注 明 来 自 F r e e b u f . C O M ] 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理